نگاهی به الزامات بانک مرکزی ایران

بانک مرکزی طی سال‌های اخیر، مجموعه‌ای از دستورالعمل‌ها و بخشنامه‌ها را با هدف ارتقاء امنیت سایبری بانک‌ها صادر کرده است. برخی از مهم‌ترین آن‌ها عبارت‌اند از:

• دستورالعمل مدیریت ریسک فناوری اطلاعات (ICT Risk)

• الزامات رمز دوم پویا

• سامانه کاشف برای نظارت بر تراکنش‌ها

• الزام به ممیزی امنیتی توسط شرکت‌های دارای مجوز افتا

• پایش و گزارش‌دهی رخدادهای امنیتی به نهاد ناظر

این مقررات، مدل خاصی از ارزیابی ریسک را طلب می‌کنند که در آن هم الزامات ناظر رعایت شود، هم قابل پیاده‌سازی در محیط فناوری بومی باشد.

ساختار مدل ارزیابی ریسک سایبری اختصاصی برای بانک‌های ایران

مدل پیشنهادی از ۸ فاز تشکیل شده است که کاملاً با الزامات بانک مرکزی و نیازهای بانک‌های ایرانی منطبق است:

1. شناسایی و طبقه‌بندی دارایی‌ها (Asset Identification)

در گام نخست باید تمام دارایی‌های حیاتی شناسایی شوند. این دارایی‌ها می‌توانند شامل موارد زیر باشند:

• سامانه CoreBanking

• سوییچ کارت و شبکه شتاب

• پلتفرم‌های بانکداری آنلاین و موبایل‌بانک

• زیرساخت ارتباطی SWIFT

• دیتابیس مشتریان و تراکنش‌ها

• سیستم‌های پشتیبان‌گیری و Disaster Recovery

این طبقه‌بندی باید بر اساس اهمیت، حساسیت اطلاعات، میزان تأثیر در صورت اختلال، و الزامات رگولاتوری انجام شود.

2. تحلیل تهدیدات بومی (Threat Identification)

برخلاف رویکردهای عمومی، در بانک‌های ایرانی باید تهدیدات زیر به‌طور خاص در نظر گرفته شوند:

• حملات APT بومی (Advanced Persistent Threats)

• نشت اطلاعات از اپراتورهای انسانی یا پیمانکاران

• فیشینگ فارسی‌زبان از طریق پیام‌رسان‌های داخلی

• سوءاستفاده از برنامه‌های بانکی غیررسمی در مارکت‌های داخلی

• نفوذ از طریق سامانه‌های HVAC، CCTV، یا VOIP بانک‌ها

3. تحلیل آسیب‌پذیری‌ها (Vulnerability Assessment)

در این بخش تمرکز بر آسیب‌پذیری‌های ناشی از موارد زیر است:

• عدم به‌روزرسانی CoreBanking بومی

• اتصال ناایمن میان سیستم‌های بانکی داخلی

• وجود حساب‌های Admin پیش‌فرض یا بدون MFA

• پشتیبانی ناقص از رمزنگاری End-to-End در سیستم‌های ارتباطی

4. مدل‌سازی سناریوهای حمله (Attack Scenario Modeling)

برای درک بهتر از تهدیدات واقعی، باید سناریوهایی طراحی شوند، مانند: